Nota di Stefania Barone

La Suprema Corte di Cassazione, con la sentenza del 14 marzo 2023 n. 13102, si è pronunciata sulla sussistenza della responsabilità penale dell’agente, soggetto privato non qualificato, che diffonde dati personali senza il consenso dell’interessato.

Nel caso di specie, l’imputata era entrata in possesso di informazioni sensibili concernenti un soggetto terzo e, in modo del tutto arbitrario, al fine di arrecare un danno, li aveva diffusi. 

L’iter processuale della vicenda in commento – in breve – è stato il seguente: con sentenza del 7 luglio 2021, la Corte di appello riformava parzialmente la sentenza del Tribunale di prime cure, con la quale l’imputata era stata condannata, previa riqualificazione, in relazione al reato di cui all'art. 615 bis comma 1 e 2 c.p., riqualificando nuovamente il fatto nei termini della originaria contestazione di cui all'art. 167 D.Lgs. n. 196 del 2003 e rideterminando le pena finale inflitta.

Contro detta pronuncia l’imputata proponeva ricorso per Cassazione per un unico motivo di impugnazione, denunciando vizio di legge della sentenza impugnata per avere il giudice penale ritenuto la prevenuta destinataria di un precetto penale che, in realtà, non annovererebbe tra i destinatari soggetti diversi dalla Pubblica Amministrazione, dai privati appositamente qualificati dalla normativa di riferimento e da altri organismi specificamente preposti al trattamento di dati personali, e perché quindi le condotte come appurate nei due giudizi non potrebbero rientrate nel concetto di trattamento di dati personali di cui al citato articolo.

Gli Ermellini, nel dichiarare inammissibile il ricorso, confermano la rilevanza penale della condotta contestata e oggetto di condanna.

Entrando nel cuore della vicenda: in primis, la Suprema Corte ha spiegato che il trattamento dei dati personali “sensibili” senza il consenso dell'interessato, dal quale derivi nocumento per la persona offesa, era già punito ai sensi dell'art. 35, comma 3 della L. 31 dicembre 1996, n. 675, ed è tutt'ora punibile ai sensi dell'art. 167, comma 2 del D.Lgs. n. 30 giugno 2003 n. 196, in quanto tra le due fattispecie sussiste un rapporto di continuità normativa, essendo identici sia l'elemento soggettivo caratterizzato dal dolo specifico, sia gli elementi oggettivi, in quanto le condotte di "comunicazione" e "diffusione" dei dati sensibili sono ora ricomprese nella più ampia dizione di "trattamento" dei dati sensibili, ed il nocumento per la persona offesa che si configurava nella previgente fattispecie come circostanza aggravante, rappresenta nella disposizione in vigore una condizione obiettiva di punibilità.

La Corte, con riferimento alla sopravvenuta disposizione del citato art. 167, ha poi precisato che, ai sensi dell'art. 167 comma 2 del D.Lgs. n.. 196/03, come articolato prima della riforma del 2018 e quindi riportabile ai fatti come contestati, del 2014, è punito salvo che il fatto costituisca più grave reato, colui il quale, al fine di trarne per sé o per altri profitto o di recare ad altri un danno procede al trattamento di dati personali in violazione di quanto disposto dagli artt. 17, 20, 21, 22, commi 8 e 11, 25, 26, 27, 45, sempre che ne derivi un nocumento. 

Ancora, i Giudici della Suprema Corte hanno analizzato, nel proseguo della motivazione, il concetto di "trattamento", ai sensi dell'art. 4 comma 1 lett. a) del D.Lgs. n. 196/03, osservando che lo stesso corrisponde a "qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati anche se non registrati in una banca dati". 

Quanto poi al concetto di "dato personale", è stato sottolineato, che esso viene definito, ai sensi della successiva lettera b) del citato art. 4 comma 1, come "qualunque informazione relativa a persona fisica, identificata o identificabile, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale" mentre per "dati sensibili" si intendono, ai sensi della lettera d), "i dati personali idonei a rivelare l'origine razziale ed etnica le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni, od organizzazioni a carattere religioso, filosofico politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale".

Inoltre, quanto alla struttura il reato, oltre alla clausola di riserva, viene contemplata la condotta di trattamento di dati personali indicati ai citati artt. 17, 20, 21, 22, commi 8 e 11, 25 26, 27, 45, purché ne derivi un nocumento. 

La predetta condotta presuppone l'assenza di consenso da parte dell'interessato, ed essa può anche essere effettuata dal cittadino privato, il quale sia, anche solo occasionalmente venuto a conoscenza di un dato sensibile.

Da tale attenta ricostruzione, i Giudici della Suprema Corte di Cassazione concludono che: “è del tutto infondata la tesi volta ad escludere dal novero dei destinatari della norma punitiva (rappresentata poi dall’art. 167 citato) il privato cittadino che occasionalmente sia venuto in possesso di un dato rilevante appartenente ad altro soggetto, dandogli diffusione indebita”.

Ed ancora, gli Ermellini osservano che: “Ad una semplice lettura della norma punitiva, l’incipit ‘chiunque’ già esclude in radice una interpretazione in senso restrittivo riferita ai destinatari: ma, anche a voler ricollegare l’art. 167 all’art. 4, è evidente che, laddove si parla di persona fisica, ci si intende riferire al soggetto privato in sé considerato, e non solo a quello che svolga un compito, per così dire, istituzionale, di depositario della tenuta dei dati sensibili e delle loro modalità di utilizzazione all’esterno”: una interpretazione siffatta finirebbe con l’esonerare in modo irragionevole dall’area penale tutti i soggetti privati, così permettendo quella massiccia diffusione di dati personali che il legislatore, invece, tende ad evitare”.

Può, quindi, condividersi l’assunto secondo cui: “l’assoggettamento alla norma in tema di divieto di diffusione di dati sensibili riguardi tutti indistintamente i soggetti entrati in possesso di dati, i quali saranno tenuti a rispettare sacralmente la privacy di altri soggetti con i primi entrati in contatto, al fine di assicurare un corretto trattamento di quei dati senza arbitri o pericolose intrusioni”. 

In altre parole, è possibile ricavare la massima giurisprudenziale in tema di trattamento di dati personali secondo cui: il divieto di diffusione riguarda – indistintamente - qualsiasi soggetto che sia entrato in possesso dei dati appartenenti a un altro, anche se acquisiti in via casuale, perché è la norma stessa che non punisce il recepimento del dato, quando la sua indebita diffusione.

La pronuncia della Suprema Corte di Cassazione in commento permette di ribadire criteri, invero non nuovi in materia di privacy, ma certamente essenziali affinché possa considerarsi integrata la fattispecie penalmente rilevante.

Va allora sottolineato che il concetto di “trattamento” è da intendersi in senso ampio, per come già lo afferma il legislatore laddove elenca tutta una serie di condotte sintomatiche, non circoscritto quindi ad una raccolta di dati, ma anche - e soprattutto - alla diffusione indebita senza il consenso dell'interessato, del dato acquisito, non importa se casualmente o meno.

Infine, va sempre verificato, nel quadro strutturale della fattispecie, il dolo specifico di "trarre per sé o per altri profitto di recare ad altri un danno " attraverso la descritta condotta di trattamento dei dati. Ed è elemento costitutivo oggettivo la circostanza che dal fatto "derivi un nocumento".

In conclusione, nonostante reperire dati personali di terzi oggi sia sempre più semplice, la disponibilità dei dati personali non va mai confusa con la liceità/correttezza di qualsivoglia loro utilizzo.

Certo è che l'applicazione delle norme previste dal GDPR in materia di protezione dei dati è esclusa solo nel caso in cui il trattamento sia effettuato “da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico” (Regolamento UE 2016/679, art. 2.2, lett. c, la cosiddetta 'esenzione domestica').

In altri termini, quando la persona fisica come tale, al di fuori di una qualsiasi attività lavorativa, diffonde i dati acquisiti in qualsiasi modo, ha già varcato la soglia della esenzione domestica perché il concetto di diffusione (cioè di pubblicazione, di procurata accessibilità delle informazioni ad un numero indefinito di persone) è giuridicamente in contrasto proprio con il carattere “domestico” dell’attività stessa. 

Allo stato attuale, dunque, la condotta oggetto delle presenti note è rilevante tanto ai fini del  Regolamento UE 2016/679, quanto per il nostro ordinamento penale, sempre che l’agente che diffonda i dati sensibili, attui la condotta per trarne profitto o per recare pregiudizio all'interessato, arrecandogli un effettivo nocumento.